Wer sein Unternehmen verkauft oder an einen Nachfolger übergibt, denkt zuerst an Kaufpreis, Steuern und Verträge. Eine Frage gerät dabei regelmäßig aus dem Blick, obwohl sie über die Wirksamkeit des gesamten Geschäfts entscheiden kann: Dürfen die Kundendaten überhaupt mit übergeben werden? Die Antwort hängt weniger am Datenschutz im engeren Sinne als an einer scheinbar nebensächlichen Vorfrage, nämlich der Rechtsform des Unternehmens. Sie entscheidet darüber, ob die Daten dem Unternehmen oder einer einzelnen Person zugeordnet sind, und damit darüber, ob die Übergabe ein Selbstläufer oder ein rechtliches Minenfeld wird.
Warum das Thema gerade jetzt drängt
Deutschland steht vor der größten Übergabewelle seiner Wirtschaftsgeschichte. Die Babyboomer-Generation, die einen Großteil des Mittelstands aufgebaut hat, erreicht das Rentenalter, und die Zahl der übergabereifen Betriebe übersteigt die der verfügbaren Nachfolger bei Weitem. Für jeden dieser Übergänge stellt sich die Frage nach dem rechtssicheren Umgang mit dem wertvollsten immateriellen Gut: dem Kundenstamm.
215.000
mittelständische Unternehmen suchten bis Ende 2025 einen Nachfolger
65,4 Jahre
Durchschnittsalter der übergebenden Inhaberinnen und Inhaber
532.000
KMU planen die Übergabe bis Ende 2028, über ein Viertel aller mittelständischen Betriebe
Quelle: KfW-Nachfolgemonitoring Mittelstand 2025
Hinter diesen Zahlen verbirgt sich eine Konstellation, die das Datenschutzthema verschärft: Die größte Gruppe der zur Übergabe anstehenden Betriebe sind keine Kapitalgesellschaften, sondern Einzelunternehmen und Freiberuflerpraxen. Und gerade bei diesen ist die Übertragung der Kundendaten rechtlich am anspruchsvollsten.
Wem „gehören“ die Kundendaten?
Personenbezogene Daten sind nach der Datenschutz-Grundverordnung niemandes Eigentum im klassischen Sinne. Sie lassen sich nicht wie eine Maschine oder ein Warenlager einfach mitverkaufen. Entscheidend ist vielmehr, wer datenschutzrechtlich Verantwortlicher ist, also in wessen Namen die Daten verarbeitet werden und mit wem der Kunde seinen Vertrag geschlossen hat. Genau hier trennen sich die Wege je nach Rechtsform.
Der entscheidende Unterschied
Bei einer Kapitalgesellschaft (GmbH, AG) ist die Gesellschaft selbst Verantwortliche und Vertragspartnerin der Kunden. Die Daten sind unternehmensgebunden. Bei einem Einzelunternehmen oder einem Freiberufler ist dagegen die natürliche Person hinter dem Betrieb Vertragspartnerin und Verantwortliche. Die Daten sind personengebunden, und genau das macht ihre Übertragung an einen Nachfolger schwierig.
Diese Unterscheidung ist deshalb so folgenreich, weil sie sich nicht auf einen Randbereich der deutschen Unternehmenslandschaft bezieht. Im Gegenteil: Die personengebundene Form ist die mit Abstand häufigste.
Fast sechs von zehn Unternehmen in Deutschland sind Einzelunternehmen. Bei ihnen, ebenso wie bei den meisten Freiberuflerpraxen, sind die Kundendaten an die Person des Inhabers gebunden. Wer als Einzelunternehmer verkauft, steht datenschutzrechtlich also vor der schwierigeren Aufgabe, während die seltenere Kapitalgesellschaft den einfacheren Weg eröffnet.
Zwei Wege: Share Deal und Asset Deal
Juristisch lässt sich ein Unternehmen auf zwei grundsätzlich verschiedene Arten übertragen, und diese beiden Wege entscheiden über die datenschutzrechtliche Behandlung der Kundendaten. Beim Share Deal wechseln die Anteile an der Gesellschaft den Eigentümer, beim Asset Deal werden einzelne Vermögenswerte verkauft, darunter der Kundenstamm.
- Der Käufer erwirbt die Anteile an der GmbH oder AG
- Die Gesellschaft bleibt rechtlich dieselbe, nur die Gesellschafter wechseln
- Vertragspartner der Kunden bleibt unverändert die Gesellschaft
- Keine Übermittlung von Daten an einen Dritten, daher datenschutzrechtlich unproblematisch
- Kundeneinwilligungen und Verträge laufen ohne Weiteres fort
- Der Käufer erwirbt einzelne Wirtschaftsgüter, darunter den Kundenstamm
- Die Daten wechseln von einer natürlichen Person zu einer anderen
- Das ist datenschutzrechtlich eine Übermittlung an einen Dritten
- Sie braucht für jede Datenkategorie eine eigene Rechtsgrundlage
- Bei besonderen Daten ist regelmäßig eine ausdrückliche Einwilligung nötig
Der einfache Fall: Share Deal bei der Kapitalgesellschaft
Erwirbt ein Nachfolger die Anteile an einer GmbH, einer AG oder einer anderen juristischen Person, ändert sich an den Vertragsverhältnissen der Gesellschaft nichts. Die Gesellschaft war vorher Vertragspartnerin und Verantwortliche der Kundendaten und bleibt es auch danach. Es wechselt lediglich der Kreis der Gesellschafter im Hintergrund. Eine Weitergabe personenbezogener Daten an einen Dritten findet nicht statt, weil der Verantwortliche derselbe bleibt.
Aus diesem Grund ist die Nachfolge bei Kapitalgesellschaften datenschutzrechtlich der mit Abstand unkomplizierteste Weg. Auch die Verschmelzung zweier Gesellschaften nach dem Umwandlungsgesetz ist in der Regel unproblematisch, solange die Datenbestände getrennt weitergeführt werden. Heikel wird es erst, wenn die Kundendaten des übernommenen Unternehmens mit den Bestandsdaten des übernehmenden Unternehmens zusammengeführt werden sollen, denn dann liegt doch eine Übermittlung an einen anderen Verantwortlichen vor, die eine eigene Rechtsgrundlage braucht.
Der schwierige Fall: Asset Deal beim Einzelunternehmen
Verkauft ein Einzelunternehmer oder Freiberufler sein Geschäft, lässt sich nicht eine Gesellschaft als Hülle übertragen, denn es gibt keine. Übergeben werden einzelne Vermögenswerte, und die Kundendaten wechseln dabei von einer natürlichen Person zu einer anderen. Datenschutzrechtlich ist das eine Übermittlung an einen Dritten, die für jeden einzelnen Datensatz gerechtfertigt sein muss.
Die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Aufsichtsbehörden, hat ihre Anforderungen dazu zuletzt mit Beschluss vom 11. September 2024 neu gefasst und damit die ältere Linie von 2019 abgelöst. Maßgeblich ist nun eine Unterscheidung danach, in welchem Stadium sich die Kundenbeziehung befindet. Die folgende Übersicht fasst die Grundlinien zusammen.
Laufender Vertrag, der mit Zustimmung des Kunden auf den Nachfolger übergeht
Laufender Vertrag, Nachfolger sichert die Erfüllung zu (Erfüllungsübernahme)
Beendeter Vertrag, Daten nur noch für gesetzliche Aufbewahrungsfristen
Besondere Daten nach Art. 9 (z. B. Gesundheitsdaten) oder reiner Verkauf einer Datenbank
Die in der Praxis etablierte Widerspruchslösung bedeutet, dass die Kunden mit ausreichendem Vorlauf über die geplante Übertragung informiert werden und ihnen eine angemessene Frist eingeräumt wird, um zu widersprechen. Wer nicht widerspricht, dessen Daten dürfen übergehen. Dieses Vorgehen ist aufwandsschonend und berücksichtigt zugleich die Interessen der Kunden, die von einer Aufforderung zur ausdrücklichen Einwilligung oft eher irritiert wären. Bankverbindungen sind davon allerdings ausgenommen und dürfen nur mit ausdrücklicher Einwilligung weitergegeben werden.
Es lohnt sich, im Hinterkopf zu behalten, dass die Beschlüsse der Datenschutzkonferenz keine bindende Rechtskraft haben und innerhalb des Gremiums teils umstritten waren. Im Streitfall entscheiden die Gerichte. Als Richtschnur für die Gestaltung eines Asset Deals sind sie dennoch die wichtigste Orientierung, die derzeit zur Verfügung steht.
Heilberufe und Gesundheitsdaten: die strengste Stufe
Bei Ärzten, Zahnärzten, Apothekern und anderen Heilberufen verschärft sich die Lage gleich doppelt. Erstens handelt es sich bei Patientendaten um Gesundheitsdaten und damit um besondere Kategorien personenbezogener Daten, deren Übertragung praktisch immer eine ausdrückliche Einwilligung verlangt. Zweitens kommt die berufsrechtliche Schweigepflicht hinzu, die unabhängig vom Datenschutzrecht gilt.
Konkreter Fall
Der Bundesgerichtshof hat 2021 entschieden, dass der isolierte Verkauf des Patientenstamms einer Zahnarztpraxis nichtig ist (Beschluss vom 9. November 2021, VIII ZR 362/19). Ein Zahnarzt hatte die Kartei von rund 600 Patienten für 12.000 Euro verkaufen wollen. Der Vertrag verstieß gegen das berufsrechtliche Verbot der Zuweisung gegen Entgelt und war damit unwirksam. Zulässig ist der Übergang der Patientenkartei nur, wenn die Praxis als Ganzes übergeben wird und die Patienten eingewilligt haben, nicht aber der losgelöste Verkauf des Datenbestands allein.
Für Apotheken gilt dasselbe Grundprinzip. Auch hier sind Kundendaten häufig mit Gesundheitsbezug versehen, etwa über bezogene Arzneimittel, und auch hier ist der Inhaber als natürliche Person Verantwortlicher. Eine Übergabe ohne sauber eingeholte Einwilligungen und ohne Einbettung in eine Gesamtübergabe des Betriebs ist mit erheblichen Risiken behaftet. Wer eine solche Übergabe plant, sollte die Einwilligungen frühzeitig und nachweisbar organisieren, statt sie als Formsache an das Ende des Verkaufsprozesses zu schieben.
Was das für die Verkaufsvorbereitung bedeutet
Die Rechtsform ist keine Größe, die sich erst beim Verkauf klären lässt, sie wirkt lange vorher. Wer als Einzelunternehmer absehbar verkaufen möchte, kann die spätere Übergabe erheblich erleichtern, indem er den Betrieb rechtzeitig in eine Kapitalgesellschaft umwandelt. Dann sind die Kundendaten künftig der Gesellschaft zugeordnet, und der spätere Verkauf kann als unkomplizierter Share Deal erfolgen. Eine solche Umwandlung will allerdings steuerlich und gesellschaftsrechtlich geplant sein und braucht Vorlauf.
Unabhängig von der Rechtsform gilt: Die datenschutzrechtliche Seite einer Transaktion gehört an den Anfang der Vorbereitung, nicht in die Schlussphase. Schon die Weitergabe von Kundendaten an einen Kaufinteressenten im Rahmen der Due Diligence ist heikel und sollte über anonymisierte oder aggregierte Kennzahlen erfolgen, solange der Verkauf nicht gesichert ist. Eine frühzeitige Bestandsaufnahme verhindert, dass am Ende ein wirtschaftlich ausgehandelter Kaufvertrag an einer ungeklärten Datenfrage scheitert.
Unsere Empfehlung: Wer den Verkauf seines Unternehmens plant, sollte die Rechtsform und den Umgang mit den Kundendaten möglichst früh prüfen lassen. Kapitalgesellschaften lassen sich datenschutzrechtlich am einfachsten übergeben, weil die Daten der Gesellschaft gehören. Bei Einzelunternehmen und Freiberuflerpraxen, und erst recht bei Heilberufen mit Gesundheitsdaten, braucht es eine durchdachte Gestaltung der Einwilligungen und Übertragungswege. Wir prüfen Ihre Ausgangslage, ordnen jeden Datenbestand der richtigen Rechtsgrundlage zu und begleiten die Transaktion datenschutzseitig. Die Verantwortung für den Verkauf bleibt bei Ihnen; wir sorgen dafür, dass die Datenfrage ihn nicht gefährdet.
Häufige Fragen
Darf ich meine Kundendaten einfach mitverkaufen?
Das hängt von der Rechtsform und der Art des Verkaufs ab. Verkaufen Sie die Anteile an einer GmbH oder AG (Share Deal), bleibt die Gesellschaft Vertragspartnerin der Kunden und die Daten gehen ohne datenschutzrechtliche Übermittlung mit über. Verkaufen Sie als Einzelunternehmer einzelne Vermögenswerte (Asset Deal), ist die Weitergabe der Kundendaten eine Übermittlung an einen Dritten, die für jede Datenkategorie eine eigene Rechtsgrundlage braucht.
Was ist der Unterschied zwischen Share Deal und Asset Deal?
Beim Share Deal kauft der Nachfolger die Anteile an der Gesellschaft, die rechtlich unverändert fortbesteht. Beim Asset Deal kauft er einzelne Wirtschaftsgüter, etwa Warenbestand, Maschinen und den Kundenstamm. Datenschutzrechtlich ist der Share Deal unproblematisch, weil der Verantwortliche derselbe bleibt. Beim Asset Deal wechselt der Verantwortliche, weshalb die Datenübertragung eigens gerechtfertigt werden muss.
Brauche ich die Einwilligung aller Kunden?
Nicht in jedem Fall. Nach dem Beschluss der Datenschutzkonferenz von 2024 kommt es auf das Stadium der Kundenbeziehung an. Bei laufenden Verträgen lässt sich die Übertragung häufig auf die Vertragserfüllung oder ein berechtigtes Interesse mit Widerspruchslösung stützen. Eine ausdrückliche Einwilligung ist vor allem bei besonderen Daten wie Gesundheitsdaten, bei Bankverbindungen und beim reinen Verkauf einer Datenbank erforderlich.
Warum ist es bei Arztpraxen und Apotheken besonders schwierig?
Dort treffen zwei Verschärfungen zusammen. Patientendaten sind Gesundheitsdaten und damit besondere Kategorien, deren Übertragung praktisch immer eine ausdrückliche Einwilligung verlangt. Zusätzlich gilt die berufsrechtliche Schweigepflicht. Der Bundesgerichtshof hat 2021 entschieden, dass der isolierte Verkauf eines Patientenstamms nichtig ist. Der Übergang der Kartei ist nur im Rahmen einer Gesamtübergabe der Praxis und mit Einwilligung der Patienten zulässig.
Kann ich mein Einzelunternehmen vor dem Verkauf umwandeln?
Ja, und das kann sich lohnen. Wandeln Sie Ihr Einzelunternehmen rechtzeitig in eine Kapitalgesellschaft um, sind die Kundendaten künftig der Gesellschaft zugeordnet, und der spätere Verkauf kann als unkomplizierter Share Deal erfolgen. Eine solche Umwandlung hat allerdings steuerliche und gesellschaftsrechtliche Folgen und braucht Vorlauf, sie sollte daher frühzeitig und mit fachlicher Begleitung geplant werden.
Dürfen Kundendaten schon während der Kaufverhandlung offengelegt werden?
Nur sehr eingeschränkt. Die Offenlegung ganzer Kundendatenbanken an einen Kaufinteressenten ist im Rahmen der Due Diligence grundsätzlich unzulässig. In fortgeschrittenen Verhandlungen lassen sich allenfalls einzelne Daten zu Schlüsselpersonen oder zentralen Vertragspartnern auf ein berechtigtes Interesse stützen. Solange der Verkauf nicht gesichert ist, sollten Sie mit anonymisierten oder aggregierten Kennzahlen arbeiten.
Einordnung
Der Datenschutz entscheidet beim Unternehmensverkauf selten über den Kaufpreis, aber er kann über die Wirksamkeit des Geschäfts entscheiden. Die zentrale Weiche ist die Rechtsform: Sie bestimmt, ob die Kundendaten dem Unternehmen oder einer Person gehören, und damit, ob die Übergabe ein Selbstläufer oder eine sorgfältig zu gestaltende Übermittlung ist. Angesichts der großen Übergabewelle der kommenden Jahre lohnt es sich, diese Frage nicht dem Zufall zu überlassen, sondern sie früh und strukturiert anzugehen.
